Vulnerabilidad en Microsoft Copilot Permitía Robar Códigos de Autenticación de Dos Factores

Los investigadores de seguridad revelaron una vulnerabilidad crítica en Microsoft Copilot llamada SearchLeak: los atacantes podían robar silenciosamente códigos de autenticación de dos factores de una sola vez directamente del correo electrónico de la víctima—sin signos visibles de compromiso y sin participación del usuario.

Cómo funcionaba el exploit

En el núcleo del ataque está la inyección de prompts, una de las clases de amenazas más estudiadas pero sin resolver para sistemas LLM. La mecánica es simple y por lo tanto especialmente peligrosa: un atacante envía a la víctima lo que parece un correo electrónico ordinario, dentro del cual hay instrucciones maliciosas ocultas—disfrazadas como contenido de texto o HTML. Cuando Microsoft Copilot procesa este correo en el curso de sus tareas rutinarias—resumiendo mensajes entrantes, respondiendo a solicitudes de usuarios o simplemente actualizando índices de correo—las instrucciones incrustadas toman el control del asistente.

Todo lo que sigue funciona en contra de la víctima: Copilot, teniendo acceso completo al ecosistema Microsoft 365—correo, OneDrive, Teams, calendario—bajo comando del correo malicioso realizó búsquedas dirigidas para consultas como "código de confirmación," "código de verificación" u "OTP." Los mensajes encontrados—típicamente correos de bancos, sistemas corporativos o servicios en línea con contraseñas de una sola vez activas—fueron transferidos al atacante a través de un canal de exfiltración pre-preparado. Es este mecanismo el que dio al ataque su nombre, SearchLeak: fuga a través de búsqueda.

Todo sucede invisiblemente—Copilot se comporta normalmente, sin advertencias.

Por qué se repite esto

SearchLeak no es el primer incidente de este tipo con productos LLM integrados en entornos de trabajo. El problema no es un error específico del desarrollador Microsoft—es arquitectónico: el LLM recibe acceso sin restricciones a datos de usuario sin aislamiento estricto y sin distinguir contenido "propio" de "externo." Puntos vulnerables clave explotados por esta clase de ataques:

• LLM procesa contenido no confiable—correos, documentos de terceros—con los mismos privilegios que instrucciones del propietario de la cuenta
• La búsqueda y sumarización proporcionan al modelo acceso amplio a datos personales y corporativos
• Los mecanismos de exfiltración—formación de URLs externas, solicitudes HTTP ocultas—a menudo no se filtran por el sistema
• Sin distinción estricta entre "instrucción de usuario confiable" y "contenido recibido de fuente externa"

Vulnerabilidades similares ya se han corregido en ChatGPT Plugins, Google Gemini para Workspace y otros asistentes de IA con acceso de datos expandido. El patrón es el mismo: cuanto más amplia la integración—mayor la superficie de ataque.

Posición de Microsoft

Según Ars Technica, los investigadores revelaron la vulnerabilidad a Microsoft a través de divulgación coordinada—antes de la publicación del artículo. La empresa lanzó un parche, sin embargo los detalles técnicos de las medidas protectoras permanecen sin revelar.

"SearchLeak muestra claramente: no puedes dar a los LLM acceso a datos

sensibles sin restricciones sandbox estrictas", enfatizan los autores de la investigación.

Microsoft posiciona Copilot precisamente a través de su integración profunda con correo, Teams, archivos y calendario—esta es la proposición de valor central del producto. Y crea riesgo estructural: rechazar la integración significaría perder el valor del producto, construir aislamiento es difícil pero necesario.

Qué significa esto

A medida que los asistentes de IA reciben acceso cada vez más amplio a datos corporativos, los ataques de inyección de prompts se repetirán—esto no es un bug de un producto particular sino un problema estructural para toda la industria. Los usuarios corporativos deberían reconsiderar el nivel de acceso de Copilot al correo y datos sensibles, y los desarrolladores de productos de IA deberían abordar seriamente el estándar de aislamiento de LLMs de contenido externo no confiable.